|
|
钻研者比来发现了一个存在于TLS 1.0（简直应因为一切HTTPS加密网站的协定）的严重弱点。利用这个破绽，黑客将能够悄无声息的解密客户端和办事器端之间经过HTTPS传输的数据。
此攻打仅针对TLS 1.0 ，目前使用最普遍的平安加密协定。只有第三方能管制终端与办事器之间的链接便可利用此破绽破解简直一切网站的SSL加密。诸如PayPal，GMail等大型网站也不例外。乃至HSTS（强迫平安协定），一种让用户间接拜候平安办事器（而不是通过不平安的链接跳转）的协定，都不克不及禁止这类破绽。
此平安隐患涉及规模之普遍和危害水平之大让人震惊。在本周行将在布宜诺斯艾利斯举办的黑客技术研讨会上，Thai Duong和 Juliano Rizzo将展现一个利用此破绽的形式。称作BEAST的一个JS脚本，配合一个网络衔接嗅探器便可在30分钟内解密一个PayPal的用户Cookie。两人称目前还在持续优化脚本，争夺将破解时间升高到10分钟。
Google针对BEAST为Chrome紧迫公布了一个补钉，但此破绽仍然强力危害着泛滥的阅读器和集体。
“假如此技术果然能在10分钟解密HTTPS平安衔接，那末咱们的确面临了一个严重的风险”
若是GFW掌握了此技术，恐怕平安的HTTPS也不是许多站点的藏身之所了 |
|
论坛元老